Le guide ULTIME pour résoudre les erreurs d’écran bleu (BSOD) sur Windows

Préambule : les fichiers d’image mémoire

Quand le système crashe, Windows affiche donc un écran bleu, lequel est accompagné d’un code d’arrêt. Ce code d’arrêt nous donne une première information sur la nature de l’erreur fatale.

Cependant, ce code d’arrêt peut se révéler assez avare en informations. Dans la capture ci-dessus, le code d’arrêt MEMORY_MANAGEMENT indique qu’une erreur grave de gestion de la mémoire est survenue… sans qu’on en sache beaucoup plus (cf. Bug Check 0x1A: MEMORY_MANAGEMENT).

Jusqu’à Windows 7, l’écran bleu affichait quatre paramètres, lesquels étaient associés au code d’arrêt (il est possible de retrouver ces quatre paramètres dans l’Observateur d’événements). Ils permettent d’en savoir un peu plus sur l’erreur fatale.

Dans l’exemple ci-dessous, le premier paramètre du code d’arrêt UNMOUNTABLE_BOOT_VOLUME indique le périphérique qui n’a pas réussi à être monté par le système (cf. : Bug Check 0xED: UNMOUNTABLE_BOOT_VOLUME).

Lorsqu’il est disponible, le nom du pilote qui a planté est également affiché. Dans l’exemple ci-dessous, il s’agit de RTKVHD64.sys. Ce dernier nous en dit par contre beaucoup plus sur la cause de l’erreur fatale. Une recherche Google nous indique qu’il s’agit du pilote audio Realtek High Definition Audio.

Cependant, le nom du module responsable du crash ne s’affiche pas toujours !

J’ai un code d’arrêt qui ne me donne aucune information et le nom du pilote responsable du crash ne s’affiche pas… Comment je vais faire pour trouver l’origine de l’erreur fatale ?

Je n’ai pas eu le temps de voir ce qui était marqué sur l’écran bleu ! Comment je vais faire pour déboguer Windows ?

Pas de panique ! J’allais justement vous donner LA solution pour trouver la source de vos écrans bleus.

Après le plantage du système et après que l’écran bleu s’affiche, Windows procède à un vidage de la mémoire physique (RAM) de l’ordinateur, en déchargeant son contenu dans un fichier du disque dur : le fichier d’image mémoire (ou Memory Dump File). Vous pouvez d’ailleurs suivre l’état d’avancement du vidage de la mémoire sur l’écran bleu via le pourcentage d’achèvement qui s’incrémente petit à petit (jusqu’à « 100% achevés »).

Ce fichier d’image mémoire contient donc une copie de toutes les données présentes dans la mémoire de l’ordinateur avant le plantage. Ces données vont se révéler précieuses afin d’établir un diagnostic complet sur le crash de Windows. En les consultant, nous trouverons à coup sûr le pilote responsable du plantage de Windows !

On trouve deux types de fichiers d’image mémoire : des fichiers pour le mode noyau (Kernel-Mode Dump Files) et des fichiers pour le mode utilisateur (User-Mode Dump Files).^[1]

Pour régler vos problèmes d’écran bleu, il faut analyser les fichiers d’image mémoire du mode noyau. Ce sont ces fichiers qui contiennent les informations permettant de déboguer le système ; les fichiers du mode utilisateur permettent eux de déboguer uniquement les programmes installés par les utilisateurs.

Windows peut générer cinq types d’image mémoire pour le mode noyau, la différence se situant autour de la taille du fichier généré :

• Image mémoire complète : contient toute la mémoire physique qui était utilisée par Windows au moment du crash. C’est le fichier d’image mémoire le plus volumineux. Il requiert un fichier d’échange^[2] qui est au moins aussi volumineux que la mémoire principale du système : la taille du fichier d’échange devra donc être égale à toute la RAM + 1 Mo. Si vous avez 16 Go de RAM sur votre ordinateur, la taille du fichier d’échange devra donc être de 16,001 Go pour pouvoir accueillir les données de la mémoire physique !
• Image mémoire du noyau : contient uniquement la mémoire utilisée par le noyau au moment du crash. Ce fichier est considérablement plus petit que le fichier d’image mémoire complète. Sa taille est à peu près égale au tiers de la mémoire physique installée sur le système (si vous avez 16 Go de RAM, la taille du fichier sera à peu près de 5,3 Go). Ce fichier d’image n’inclut pas la mémoire non allouée, ni la mémoire allouée aux applications en mode utilisateur. Il ne contient que la mémoire allouée au noyau Windows, à la couche d’abstraction matérielle (HAL), et également la mémoire allouée aux pilotes et aux programmes en mode noyau. C’est le fichier d’image mémoire le plus utile. Plus petit et plus rapide à exécuter que le fichier d’image mémoire complète, il ne contient pas les données de la mémoire physique qui ne sont généralement pas impliquées dans le crash.
• Image mémoire partielle (256 Ko) : le fichier d’image mémoire le plus petit, utile sur des systèmes à l’espace disque très limité. Dans la mesure où il contient des informations limitées (message d’arrêt, liste des pilotes chargés…), l’analyse de ce fichier ne permettra peut-être pas de découvrir la source des erreurs rencontrées au moment du plantage de l’ordinateur.
• Vidage mémoire automatique : contient les mêmes informations que le fichier d’image mémoire du noyau. La différence entre les deux ne réside pas dans le fichier d’image lui-même, mais dans la manière dont Windows définit la taille du fichier d’échange du système. Si la taille du fichier d’échange du système est définie sur « Gestion automatique du fichier d’échange pour les lecteurs », et que le paramètre de l’image mémoire est définie sur « Vidage mémoire automatique », Windows définit automatiquement une taille pour le fichier d’échange, suffisamment grande pour capturer l’image mémoire du noyau.
  
• Vidage mémoire actif : similaire à l’image mémoire complète, elle ne contient cependant pas la mémoire affectée aux machines virtuelles Hyper-V, inutile pour le débogage de la machine hôte.

Vous pouvez configurer le type d’image mémoire que Windows crée en cas de plantage dans les Paramètres système avancés (%SystemRoot%\System32\SystemPropertiesAdvanced.exe) > Démarrage et récupération.

Il est recommandé de laisser le type d’image mémoire par défaut : Vidage mémoire automatique.

Seul un et seul fichier d’image mémoire peut être créé lors d’un crash du système. Si une deuxième erreur fatale se produit et qu’une image mémoire du noyau (ou une image mémoire complète) est créée, celle-ci remplacera la précédente (si l’option « Remplacer tous les fichiers existants paramètre » est cochée).

Le fichier d’image mémoire est écrit par défaut dans %SystemRoot%\Memory.dmp.

Quelque soit le type d’image mémoire que vous avez choisi, Windows crée toujours en plus un fichier d’image mémoire partielle chaque fois que le système s’arrête de manière inattendue (quand l’écran bleu s’affiche), même si vous avez sélectionné « Image mémoire du noyau » ou « Image mémoire complète » dans les paramètres.

Si une deuxième erreur fatale se produit, une deuxième image mémoire partielle est créée et la précédente sera conservée. Chaque nouveau fichier d’image mémoire partielle aura un nom différent, avec la date du crash encodée dans le nom du fichier. Par exemple, « 050917-10843-01.dmp » est le fichier d’image mémoire généré le 9 mai 2017.

Tous les fichiers d’image mémoire partielle sont conservés dans le dossier %SystemRoot%\Minidump.

Maintenant que vous connaissez le fonctionnement des fichiers d’image mémoire, allons consulter les informations de débogage qu’ils contiennent afin de trouver le pilote responsable de vos écrans bleus de la mort !

Résoudre un écran bleu de la mort (BSOD)

Étape 1 : analyser les fichiers d’image mémoire

Pour commencer, nous allons analyser les fichiers d’image mémoire partielle.

Même si ces derniers contiennent peu d’informations, il n’est pas rare d’y trouver le pilote responsable de l’erreur fatale.

Si les fichiers d’image mémoire partielle ne nous permettent pas de trouver la source de l’écran bleu de la mort, nous irons analyser le fichier d’image complète ou du noyau qui contient beaucoup plus d’informations sur le plantage qui a causé l’écran bleu de la mort.

via les fichiers d’image mémoire partielle

L’utilitaire de contrôle d’image mémoire (Dumpchk.exe) est un utilitaire de ligne de commande proposé par Microsoft pour vérifier et lire les fichiers d’image mémoire.

Contrairement aux autres outils de débogage disponibles, Dumpchk.exe ne nécessite pas l’accès aux symboles de débogage, qui sont volumineux et qui doivent être téléchargés pour faire un débogage.

Bien qu’efficace, cet outil n’est pas très ergonomique.

C’est pourquoi nous allons utiliser le programme BlueScreenView : il scanne tous les fichiers d’image mémoire créés sur votre ordinateur suite à un crash de Windows, et affiche clairement les informations qu’ils contiennent.

Dès maintenant, téléchargez et installez BlueScreenView sur votre ordinateur, puis exécutez-le.

Dans le panneau supérieur, tous les fichiers d’image mémoire trouvés dans le dossier %SystemRoot%\Minidump ainsi que le fichier d’image mémoire %SystemRoot%\Memory.dmp sont affichés. Dans la capture ci-dessus, six images mémoire partielle sont affichées. Cela signifie que cet ordinateur a rencontré six fois l’écran bleu de la mort !

Pour chaque crash, BlueScreenView affiche le nom du fichier d’image mémoire partielle, la date et l’heure du crash, le code d’arrêt (affiché sur l’écran bleu), les 4 paramètres du code d’arrêt, et les détails sur le pilote qui a probablement provoqué le crash (nom du fichier, nom du produit, description du fichier et version fichier).

Dans le panneau inférieur, par défaut, BlueScreenView affiche tous les pilotes qui étaient chargés lors du crash (que vous avez sélectionné dans le panneau supérieur). Les pilotes dont l’adresse mémoire a été trouvée dans la pile du crash sont surlignés en rose, ce qui permet de localiser facilement les pilotes qui sont susceptibles d’être les responsables du crash.

Votre mission est simple : repérez le pilote responsable de l’écran bleu dans la colonne « Caused By Driver » !

Dans la capture ci-dessous, on voit que le crash du 5 août 2013 a été provoqué par le pilote nvlddmkm.sys qui fait vraisemblablement tourner une carte graphique NVIDIA.

Si vous souhaitez avoir plus de détails sur le pilote détecté (à quel composant, périphérique ou programme il appartient), cliquez droit sur le fichier d’image mémoire et sélectionnez Google Search – Bug Check + Driver pour lancer une recherche sur Internet.

Malheureusement, il arrive souvent que les fichiers d’image partielle ne contiennent pas assez d’informations pour pouvoir identifier le pilote responsable de l’écran bleu.

C’est le cas si BlueScreenView affiche ntoskrnl.exe dans la colonne « Caused By Driver ». C’est faux : il s’agit simplement du dernier fichier de la pile qui était chargé avant que l’écran bleu n’apparaisse. Ce n’est PAS le fichier qui a provoqué l’erreur fatale.

Selon ce qu’affiche BlueScreenView dans la colonne « Cause By Driver », appliquez ce qui suit :

• Si BlueScreenView affiche un nom de fichier faisant référence à un composant, un périphérique ou un programme → appliquez les solutions spécifiques à un pilote fautif.
• Si BlueScreenView affiche ntoskrnel.exe → il va falloir analyser le fichier d’image complète (ou du noyau) afin de trouver le pilote qui a réellement provoqué l’écran bleu. Passez à la section suivante : lire le fichier d’image mémoire complète ou du noyau.

via le fichier d’image mémoire complète ou du noyau

Pour analyser le fichier d’image mémoire complète ou de noyau, nous devons installer les débogueurs Windows (inclus dans le SDK de Windows).

Pour cela, suivez ces instructions :

1. Téléchargez le programme d’installation du SDK (Software Development Kit) en fonction de votre version de Windows.
2. Lancez sur le programme d’installation duSDK de Windows. Sur le premier écran, laissez l’emplacement par défaut puis cliquez sur Next.
   
3. Parmi toutes les fonctionnalités proposées, n’installez que les outils de débogage. Laissez Debugging Tools for Windows coché et décochez toutes les autres cases, puis cliquez sur Install.
   

Après l’installation des outils de débogage, vous avez cinq environnements de débogages à votre disposition (cf. Debugging Environments pour plus de détails) dont Microsoft Windows Debugger (WinDbg), un débogueur capable de déboguer en mode utilisateur et en mode noyau.

WinDbg fournit un débogage pour le noyau Windows, les pilotes en mode noyau et les services système, ainsi que les applications et les pilotes en mode utilisateur. C’est celui-ci que nous allons utiliser.

cd "C:\Program Files (x86)\Windows Kits\10\Debuggers\x64\"
.\windbg.exe -IA

Continuons :

1. Exécutez WinDbg en tant qu’administrateur : ouvrez le menu Démarrer, entrez « windbg », cliquez droit sur WinDbg (X64) (ou WinDbg (x86) si vous utilisez une version 32 bits de Windows) puis sélectionnez Exécuter en tant qu’administrateur.
2. La fenêtre principe du débogueur WinDbg s’ouvre.
3. Spécifiez l’emplacement des symboles de débogage via File > Symbol File Path. Les fichiers de symboles contiennent une variété de données qui sont très utiles pour le débogage.
   
4. Entrez l’emplacement suivant puis cliquez sur OK :

   srv*c:\SymbolsSrvCache*https://msdl.microsoft.com/download/symbols

   

5. Sauvegardez l’espace de travail via File > Save Workspace. Cela va nous éviter d’avoir à redéfinir l’emplacement des symboles de débogage à chaque session.
6. Ouvrez le fichier d’image mémoire via File > Open Crash Dump.
   
7. Rendez-vous dans le dossier C:\Windows et sélectionnez le fichier MEMORY.DMP.
   
8. Attendez que WinDbg charge les symboles nécessaires au débogage du fichier d’image mémoire. Le texte Debuggee not connected est affiché en bas de la fenêtre ; vous devez attendre que l’invite de commande kd> s’affiche.
   
9. Une fois que vous avez la main, entrez la commande !analyze -v pour lancer l’analyse du fichier d’image mémoire.
   
10. L’analyse est terminée lorsque le texte *BUSY* ne s’affiche plus en bas de la fenêtre et que vous avez de nouveau accès à l’invite de commande kd>.
11. Faites glisser la barre de défilement vers le haut jusqu’à la ligne IMAGE_NAME. Vous y trouverez des informations intéressantes, comme celles-ci :

    IMAGE_NAME: cpuz138_x64
    MODULE_NAME: cpuz138_x64
    FAULTING MODULE: fffff8004dc30000 cpuz138_x64
    PROCESS_NAME: Speccy64.exe

    

L’interprétation des données est ensuite assez simple. Les noms des fichiers mis en cause permettent de cibler le périphérique, le pilote ou le programme responsable de l’écran bleu.

Si vous ne savez pas à quoi il fait référence, il vous suffira de lancer une recherche sur le web pour obtenir plus d’informations sur ledit pilote. Dans la capture ci-dessus par exemple, c’est le pilote appartenant au programme CPU-Z qui a planté (cpuz138_x64), programme qui a été lancé par le logiciel Speccy (Speccy64.exe).

Suivant ce que vous avez trouvé dans le fichier d’image système, appliquez ce qui suit :

• Si vous avez trouvé un nom de fichier faisant référence à un périphérique ou un programme -> appliquez les solutions spécifiques à un pilote fautif.
• Si vous n’avez toujours rien trouvé -> utilisez le Vérificateur de pilotes de Windows (pour détecter les pilotes défectueux) ou sinon, appliquez les solutions d’ordre général aux erreurs d’écran bleu.

Étape 2 : résoudre le problème d’écran bleu

Solutions spécifiques à un pilote fautif

Si vous avez suivi les instructions précédentes, vous avez trouvé le pilote responsable de l’écran bleu.

Suivez maintenant les instructions suivantes pour corriger définitivement le problème et mettre fin à votre problème d’écran bleu :

• Si le pilote est un pilote de programme (ex. : cpuz138_x64.sys pour le programme CPU-Z) :
  • installez une version plus récente du programme (rendez-vous sur le site web de l’éditeur ou utilisez l’outil de mise à jour automatique intégré) ;
  • sinon, désinstallez temporairement le programme.
• Si le pilote est un pilote de périphérique (ex. : nvlddmkm.sys pour une carte graphique NVIDIA) :
  • mettez à jour le pilote du périphérique depuis le site web du fabricant ;
  • sinon, restaurez le pilote précédent du périphérique : Gestionnaire de périphériques > Clic droit sur le périphérique > Propriétés > Onglet Pilote > Restaurer le pilote ; 
  • sinon, désinstallez le périphérique et supprimez son pilote : Gestionnaire de périphériques > Clic droit sur le périphérique > Désinstaller l’appareil > Supprimer le pilote pour ce périphérique + Désinstaller. 

Solutions d’ordre général

Si vous n’avez pas réussi à trouver le pilote responsable de l’écran bleu, vous pouvez suivre ces quelques suggestions :

• Si vous avez récemment ajouté un périphérique à votre ordinateur, vérifiez auprès du fabricant si des correctifs sont disponibles et installez-les si c’est le cas.
• Débranchez tout périphérique externe superflu (imprimante, webcam…) et vérifiez si cela permet de résoudre le problème d’écran bleu.
• Si de nouveaux pilotes de périphériques ou des services système ont été installés récemment, essayez de les supprimer ou de restaurer les anciennes versions des pilotes.
• Réfléchissez à ce qui a changé récemment dans Windows (installation d’un programme, nouvelle mise à jour…), ce pourrait être ce changement qui provoque l’erreur fatale. Si vous suspectez un programme, désinstallez-le.
• Ouvrez le Gestionnaire de périphériques pour voir si des périphériques sont marqués avec le point d’exclamation. Examinez le journal des événements dans les propriétés du pilote pour avoir plus de détails sur l’erreur rencontrée. Essayez également de mettre à jour ce pilote.
• Consultez le journal Système dans l’Observateur d’événements et regardez si des messages d’erreur pourraient aider à identifier le périphérique ou le pilote qui provoque l’écran bleu. Vous pouvez filtrer le journal Système pour n’afficher que les événements de niveau « Critique » et « Erreur ».
• Exécutez l’outil Diagnostic de mémoire Windows pour tester la mémoire vive (RAM). Une fois le test exécuté, utilisez l’Observateur d’événements pour afficher les résultats (dans le journal Système). Recherchez l’entrée « MemoryDiagnostics-Results » pour afficher les résultats.
• Vérifiez si le nouveau matériel que vous avez installé est compatible avec la version de Windows installée.
• Installez un logiciel antivirus et lancez un scan antivirus. Les virus peuvent infecter tous types de disques formatés pour Windows et la corruption des disques qui en résulte peut générer des erreurs fatales. Assurez-vous que le logiciel antivirus vérifie si le Master Boot Record est infecté.
• Utilisez l’outil Vérification du disque (chkdsk) pour vérifier que le système de fichiers n’est pas endommagé.
• Utilisez l’outil Vérificateur des fichiers système (sfc) pour réparer les fichiers système manquants ou endommagés.
• Vérifiez qu’il y a suffisamment d’espace libre sur le lecteur système. Le système d’exploitation et certaines applications nécessitent suffisamment d’espace libre pour créer les fichiers d’échange, et pour d’autres fonctions aussi. Un espace libre de 10% à 15% est recommandé.
• Installez les dernières mises à jour de Windows via Windows Update.
• Vérifiez si le fabricant de votre ordinateur ou de votre carte mère propose une mise à jour pour le BIOS ou le firmware UEFI de votre système. Chargez également les paramètres par défaut de votre BIOS/firmware UEFI.
• Pour les PC de bureau, assurez-vous que toutes les cartes d’extension sont correctement installées et que tous les câbles sont complètement connectés.

Ces suggestions sont valables pour la majeure partie des erreurs d’écran bleu.

Voici quelques exemples de code d’arrêt que vous pouvez rencontrer sur Windows :

0x000000D1: DRIVER_IRQL_NOT_OR_EQUAL
0x0000000A: IRQL_NOT_LESS_OR_EQUAL
0x00000050: PAGE_FAULT_IN_NONPAGED_AREA
0x000000C2: BAD_POOL_CALLER
0X000000ED: UNMOUNTABLE_BOOT_VOLUME
0x0000001E: KMODE_EXCEPTION_NOT_HANDLED
0x00000024: NTFS_FILE_SYSTEM

Liens utiles

• Réparer Windows Update (échec des mises à jour et erreurs)
• Erreur SrtTrail.txt lors de la réparation automatique de Windows 10
• Plus de son : résoudre les problèmes de son dans Windows 10
• Erreur « BOOTMGR is missing » au démarrage : les solutions